Jalankan OpenVPN di Windows tanpa menjadikan pengguna administrator

Seorang pengguna mengklik dua kali GUI OpenVPN, menyetujui perintah UAC, dan mengulangi ritual yang sama pada penyambungan ulang berikutnya. Perintah ini bukan kesalahan pengemasan: klien membuat adaptor virtual dan menyunting tabel perutean, dan keduanya adalah perubahan istimewa. Pertanyaan yang berguna adalah hak mana yang benar-benar dibutuhkan pengguna. Layanan ditambah delegasi sempit mencakup koneksi tanpa membagikan keanggotaan administrator.

Operasi mana yang benar-benar memerlukan peningkatan hak

Tunnel berakhir pada antarmuka jaringan virtual, dan memasang antarmuka itu adalah operasi pengandar yang memerlukan hak administrator satu kali. Setelah adaptor ada, setiap koneksi tetap menulis rute dan, bergantung pada profil, mengubah konfigurasi DNS. Kedua langkah itulah yang memicu peningkatan hak pada akun biasa. Tidak ada apa pun dalam autentikasi atau enkripsi yang memerlukan hak administrator, dan justru karena itu hak istimewa dapat dipisahkan.

Pisahkan waktu pemasangan dari waktu koneksi sebelum memilih pemberian. Keduanya memiliki pemilik dan masa hidup yang berbeda.

Gunakan layanan sebagai komponen istimewa

Penataan yang didukung menjalankan layanan Windows yang memegang hak yang diperlukan, dengan GUI yang meminta layanan untuk tersambung. Dengan begitu kode istimewa tidak pernah berjalan di dalam sesi pengguna.

sc query OpenVPNService
sc qc OpenVPNService

Layanan yang berjalan dan jalur binernya menunjuk ke klien yang terpasang adalah fakta pertama yang harus dipastikan sebelum mendelegasikan apa pun. Layanan memiliki adaptor dan rute, jadi pengguna hanya memulai dan menghentikan koneksi. Inilah bentuk yang harus dipakai pada mesin bersama, karena akun yang mengklik sambung tidak memegang hak istimewa tetap. Baca deskriptor dengan sc sdshow sebelum menyuntingnya, dan simpan salinan keluaran yang diketahui baik.

Delegasikan perubahan rute ke grup bawaan

Untuk klien yang harus berjalan secara interaktif, grup bawaan yang didelegasikan adalah Network Configuration Operators. Grup ini mencakup pengaturan jaringan dan perubahan rute sekaligus mengecualikan pemasangan perangkat lunak dan pekerjaan administratif umum.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Menambahkan akun tidak senyap: kebijakan bawaan tetap memunculkan satu perintah per sesi, jadi pemberian itu mengurangi apa yang dapat dilakukan peningkatan hak, bukan menghapusnya. Dokumentasikan keanggotaan, karena menumpuk diam-diam dan hampir tidak pernah ditinjau. Pada jalur layanan, penyuntingan deskriptor dengan sc sdset dapat mendelegasikan mulai dan berhenti ke sebuah grup, meskipun salah ketik pada deskriptor dapat menolak hak mulai bagi setiap akun, dan membatalkannya memerlukan administrator. Uji setiap perubahan deskriptor di mesin laboratorium sebelum mencapai hos produksi.

Verifikasi dari akun pengguna

Konfigurasi yang dilakukan dalam sesi administrator tidak membuktikan apa pun tentang akun yang akan memakainya. Masuk sebagai pengguna itu, sambungkan, dan bandingkan keadaan mesin sebelum dan sesudah.

route print -4
Get-DnsClientServerAddress

Tabel perutean seharusnya memperoleh rute tunnel, dan penyelesai seharusnya menunjuk ke server yang disediakan VPN selama tersambung. Setelah terputus, kedua keluaran seharusnya cocok dengan salinan yang Anda ambil sebelumnya, dan itulah sebabnya mengambilnya lebih dulu itu penting. Pembaruan pengandar dapat memunculkan kembali syarat administrator, jadi catat versi klien di samping hasil. Simpan berkas profil dan kunci hanya dapat dibaca oleh akun yang memakainya, alih-alih melonggarkan izin untuk pemasangan bersama.

Tuliskan siapa yang dapat memulai tunnel, grup mana yang memberikannya, dan apa yang masih memerlukan administrator. Catatan itu mengubah pembaruan klien berikutnya menjadi pekerjaan terencana alih-alih sepanjang sore menduga-duga.